29 октября 2026 года Binance столкнулась с серьёзным и крайне изощрённым инцидентом в сфере безопасности. Этого не должно было произойти, и мы приносим извинения за беспокойство, перебои и неопределённость, которые это вызвало у наших пользователей, партнёров и всей отрасли.
Наша главная обязанность — защищать пользователей. Binance возьмёт на себя финансовые последствия кражи средств, а не наши пользователи. Мы уже зарезервировали более 100% средств, необходимых для покрытия убытков. По состоянию на 31 октября 2026 года 98% затронутых токенизированных активов были восполнены, и это можно проверить на странице Подтверждение резервов. Сейчас мы закупаем оставшиеся активы с низкой ликвидностью.
В результате инцидента пострадали цифровые активы на сумму около 6,34 млрд долларов США. По состоянию на данный момент цифровые активы на сумму около 2,85 млрд долларов США заморожены или перехвачены; эта сумма может измениться после сверки данных и из-за волатильности рыночных цен.
Мы незамедлительно приняли меры, чтобы локализовать инцидент и укрепить затронутые системы. Были закрыты выявленные точки входа, использованные при атаке. Системы, затронутые на пути атаки, были пересобраны или заменены. Мы также ужесточили контроль над устройствами, усилили меры управления рисками для кошельковых сервисов и расширили систему обнаружения поведенческих аномалий на основе ИИ.
Это наш первоначальный отчёт. В нём описано то, что нам известно на данный момент, а также уже принятые меры по улучшению безопасности. Расследование продолжается, и его результаты будут подвергнуты дальнейшей независимой проверке. Некоторые технические сведения останутся конфиденциальными, чтобы злоумышленники не могли использовать их для планирования атак. Мы привлекаем независимые компании, специализирующиеся на безопасности, для дальнейшей проверки.
Согласно последней информации, опубликованной Федеральным бюро расследований США, ответственность за этот инцидент несёт Корейская Народно-Демократическая Республика.
Мы публикуем этот первоначальный отчёт, потому что безопасность отрасли повышается, когда её участники учатся вместе.
Что произошло 29 октября
Атака стремительно распространилась по нескольким сетям.
Злоумышленник воспользовался несанкционированным доступом к внутреннему сервису подписания транзакций кошелька, чтобы инициировать транзакции в обход стандартного процесса вывода средств.
С 20:05 до 20:09 UTC пять горячих кошельков Binance отправили 233.46 млн XRP на адрес, контролируемый злоумышленником.
Горячие кошельки Binance в сетях Solana и Optimism отправили на адреса, контролируемые злоумышленником, около 970 500 SOL и 44,2 млн OP.
Затем Binance получила внутреннее оповещение о крупных переводах и немедленно начала расследование.
Горячий кошелёк Binance отправил 18 270 BTC на адрес, контролируемый злоумышленником.
Затем злоумышленник использовал сервис подписания транзакций, чтобы воспользоваться механизмом авторизации EIP-7702 в Ethereum. EIP-7702 позволяет аккаунту делегировать смарт-контракту определённые права на выполнение операций, не раскрывая приватный ключ. В данном случае злоумышленник использовал этот механизм, чтобы предоставить смарт-контракту, контролируемому злоумышленником, частичные права на выполнение операций с горячим кошельком Binance.
Binance немедленно начала принимать меры по локализации инцидента, в том числе приостановила вывод средств, чтобы ограничить дальнейший отток, скоординировала действия с партнёрами для заморозки затронутых токенов и приступила к отзыву несанкционированных разрешений. Благодаря этим действиям удалось заморозить активы на общую сумму 2,85 млрд долларов.
Однако одной приостановки вывода средств было недостаточно, чтобы остановить все несанкционированные перемещения активов. Вредоносные разрешения EIP-7702 существовали в блокчейне и работали независимо от стандартной инфраструктуры Binance для вывода средств. Злоумышленники отправили 50 транзакций подписания, чтобы манипулировать nonce аккаунта и создать вредоносные разрешения на делегирование. После их создания злоумышленники смогли продолжить перемещение активов независимо от стандартной инфраструктуры Binance для вывода средств. Чтобы отозвать эти разрешения в блокчейне, Binance пришлось отправить дополнительные транзакции.
Процесс локализации инцидента осложнялся дополнительными техническими факторами. Поскольку в горячем кошельке использовались вычисления с участием нескольких сторон (MPC), не существовало единого приватного ключа, с помощью которого можно было бы немедленно отозвать вредоносные разрешения EIP-7702. Поэтому команда разработала и выполнила специальную процедуру отзыва этих разрешений, на что потребовалось дополнительное время. Кроме того, приостановка вывода средств и отключение сервисов горячих кошельков не приводили к автоматической отмене уже существовавших разрешений в блокчейне.
Эти сложности увеличили время, необходимое для полной остановки несанкционированных перемещений активов. Мы пересматриваем процесс реагирования на инциденты, охват политик подписания транзакций и средства контроля горячих кошельков, а также определяем, как повысить нашу способность быстрее реагировать на угрозы в будущем.
Последний несанкционированный перевод на сумму 2 961,9 ETH был окончательно подтверждён в блокчейне в 23:56 UTC. Транзакция была отправлена ранее и оставалась в ожидании подтверждения, после чего была окончательно подтверждена. После этого новых несанкционированных переводов не наблюдалось.
30 октября 2026 года в 00:10 UTC Binance выполнила новую авторизацию с горячего кошелька Binance14 на нулевой адрес, удалив код делегирования EIP-7702.
Подготовка атаки
Наше текущее расследование показывает, что это была сложная многоэтапная кампания. Это не было единичным изолированным взломом или простой фишинговой атакой. Злоумышленники сочетали различные методы, включая социальную инженерию под видом собеседований при приёме на работу, загрузку вредоносного программного обеспечения, компрометацию внутренних инструментов ИИ, взлом конечных устройств и передовой метод авторизации транзакций.
Июнь 2026 года — атака на цепочку поставок. Инженер A из команды Wallet DevOps загрузил изменённый установочный пакет Homebrew, чтобы установить популярный инструмент для программирования с помощью ИИ, который он нашёл через поисковую систему. Наша команда безопасности обнаружила аномалию, заменила устройство и в качестве превентивной меры безопасности обновила все связанные учётные данные. Однако злоумышленнику стали известны должность инженера A и данные его коллег из нашей команды, отвечающей за инфраструктуру кошельков.
В течение 2026 года команда безопасности Binance обнаружила и предотвратила 57 предполагаемых киберугроз, связанных с Северной Кореей. Эти попытки отражают постоянную угрозу, которую представляют спонсируемые государством злоумышленники для криптовалютной индустрии. Среди применявшихся методов — фиктивные собеседования при приёме на работу, вредоносное ПО, замаскированное под популярные инструменты для разработчиков, скомпрометированные программные пакеты и расширения для браузеров, поддельные приложения для видеоконференций, а также кампании социальной инженерии, направленные на кражу учётных данных или установку вредоносного ПО для удалённого доступа.
Сентябрь — социальная инженерия. С инженером-программистом B связался через легитимную платформу для поиска работы человек, выдававший себя за директора проекта. В профиле инженера-программиста B на платформе был указан его опыт работы в Binance. Лже-директор проекта организовал первый этап собеседования с представителем отдела кадров, а затем второй этап с человеком, который утверждал, что является генеральным директором вымышленной компании.
На первом этапе представитель отдела кадров провёл с инженером-программистом B собеседование по видеосвязи в реальном времени. Чтобы завоевать его доверие, собеседник поделился с ним аккаунтом в социальной сети, где были опубликованы личные фотографии и видео. Этот подход был более изощрённым и обманчивым, чем ранее наблюдавшиеся методы социальной инженерии.
Второе собеседование проходило в популярном приложении для общения. Ближе к его завершению инженеру B поручили загрузить на рабочий компьютер «тестовое задание», содержащее вредоносный репозиторий кода. В репозитории находился вредоносный код, который запускался в процессе установки и начинал серию несанкционированных действий.
Вредоносная программа использовала сложные методы обфускации и уклонения от обнаружения, в том числе замену компонента легитимного инструмента разработки вредоносной версией для выполнения команд и установления связи с внешним сервером, контролируемым злоумышленником. Средства защиты конечных устройств на тот момент не обнаружили вредоносную программу нулевого дня. Злоумышленник также предпринял меры, чтобы скрыть вредоносную активность и удалить следы компрометации, что усложнило обнаружение и последующее расследование.
Скрипт выполнил следующие шаги, применяя методы обфускации, чтобы избежать обнаружения средствами безопасности.
СОЗДАНИЕ /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
ИЗМЕНЕНИЕ pyenv_ → 3,414 Б
УДАЛЕНИЕ .../libexec/pyenv (3,344 Б) ← удаление легитимного pyenv
ПЕРЕИМЕНОВАНИЕ pyenv_ → pyenv (3,414 Б) ← замена вредоносной версией
УДАЛЕНИЕ /opt/homebrew/bin/pyenv (3,414 Б)
ln (создание новой символической ссылки) + запуск zsh
20 октября — использование внутреннего инструмента ИИ в качестве плацдарма. Злоумышленник использовал скомпрометированный компьютер инженера B и внутренний инструмент ИИ, чтобы получить контроль над инженером A из Wallet DevOps и ещё одним инженером-программистом C из команды Wallet. Вскоре злоумышленник выяснил, что на компьютере инженера A из Wallet DevOps находится токен с правами на развёртывание контейнеров.
29 октября — проникновение в процессы подписания транзакций кошельком. 29 октября с 17:15 до 19:56 злоумышленник вошёл в компьютер инженера-программиста C, использовал учётные данные, украденные у инженера A из Wallet DevOps, развернул контейнер и запустил вредоносный скрипт, чтобы начать атаку.
Что мы сделали
По состоянию на 3 ноября 2026 года мы предприняли следующие действия:
Пересобрали затронутую систему кошельков в новой среде.
Пересобрали затронутый внутренний инструмент ИИ и систему контроля доступа.
Заменили затронутые устройства.
Отключили учётные данные и токены, связанные с затронутыми инженерами.
Провели расширенное сканирование безопасности на устройствах всех сотрудников.
Усовершенствовали систему обнаружения поведенческих аномалий на основе ИИ.
Усилили меры управления рисками для кошельковых сервисов.
Совместно с правоохранительными органами, компаниями, занимающимися анализом блокчейна, и партнёрами по отрасли отслеживали и замораживали затронутые активы.
По мере развития расследования мы продолжим укреплять наши меры безопасности. Мы внедрили и внедряем ряд мер, детали которых останутся конфиденциальными, чтобы злоумышленники не могли обойти наши средства защиты.
Дальнейшие действия
Мы незамедлительно предпринимаем следующие шаги.
Независимая проверка кибербезопасности
Мы привлекаем независимых внешних экспертов по кибербезопасности для всесторонней проверки инцидента, подтверждения наших выводов и подготовки рекомендаций по дополнительным мерам. Объём и результаты этой проверки будут учитываться в нашей дальнейшей работе по устранению последствий.Расширение инвестиций в безопасность ИИ и предотвращение угроз
Мы увеличиваем инвестиции в обнаружение угроз с помощью ИИ, защиту конечных устройств, безопасность сред разработки и мониторинг поведенческих аномалий.Фонд исследований безопасности и отраслевые инициативы
Мы работаем над созданием фонда исследований безопасности и разработкой целевых инициатив совместно с ведущими компаниями в сфере ИИ, участниками отрасли и компаниями, специализирующимися на безопасности, уделяя особое внимание безопасности ИИ в блокчейн-средах.
Мы продолжим активно делиться информацией по мере её поступления.
Источник: официальный аккаунт Binance в X (@binance)
#safu #BinanceIncidentReport #BinanceReopensWithdrawalsForMoreAssets